Gå til indhold
Jan Engelbrecht Pederseb Logo

Hærdning af Linux Mint

En dybdegående, praktisk guide til at sikre dit Linux Mint-system mod trusler – fra installation til daglig drift.

Kontakt os for professionel hjælp

📑 Indholdsfortegnelse

En overskuelig oversigt over de 12 vitale trin, der sikrer dit system til perfektion. Klik på et afsnit for at hoppe direkte dertil.

🎥 Videoguide til Hærdning af Linux

Få et visuelt overblik over de vigtigste sikkerhedstiltag i denne uddybende video.

🔐 1. Fuld diskkryptering med LUKS

Formål: At forhindre uautoriseret adgang til data ved fysisk adgang til hardwaren. LUKS (Linux Unified Key Setup) krypterer hele harddisken, så den fremstår som tilfældig støj uden den korrekte adgangskode.

1

📌 Vælg krypteringsmuligheden

Under installationen af Linux Mint, når du når til skærmen "Installationstype", skal du vælge:
⬜ Slet disk og installer Linux Mint
✅ Krypter den nye Linux Mint-installation for sikkerhed
⬜ Noget andet

2

⚠️ Opret en stærk adgangskode

Krav til adgangskoden:
- Minimum 20 tegn
- Blanding af store og små bogstaver
- Tal og specialtegn (!@#$%^&*)
- Undgå ordbogsord, personlige oplysninger eller mønstre
- Eksempel: L1nux#M1nt$3cur3!2026#H4rd3n1ng
💡 Tip: Skriv adgangskoden ned på et fysisk stykke papir og opbevar det sikkert.

3

Krypteringsindstillinger (avanceret)

Hvis du vælger "Noget andet" under installation, kan du manuelt opsætte LUKS med:
Krypteringsalgoritme: AES-XTS (standard)
Nøglestørrelse: 512 bit (256 bit AES)
Hash-algoritme: SHA-512
Iterationer: Minimum 1.000.000 (PBKDF2)

🔑 Efter installation – tilføj en ekstra nøgle:

Åbn terminalen og kør:

sudo cryptsetup luksAddKey /dev/sdaX

(Erstat /dev/sdaX med din krypterede partition, f.eks. /dev/sda5)

🧱 2. Firewall (UFW) – Trin-for-trin

UFW (Uncomplicated Firewall) er Linux Mints standard-firewall. Den er deaktiveret som standard, hvilket er et stort sikkerhedshul.

1. Installér og aktiver UFW

sudo apt update
sudo apt install ufw -y
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh  # Kun hvis du bruger SSH
sudo ufw enable

⚠️ VIGTIGT: Hvis du aktiverer UFW over SSH, skal du tillade SSH før du aktiverer firewallen. Ellers mister du forbindelsen til serveren.

2. Tjek firewall-status

sudo ufw status verbose

3. Tilføj specifikke regler

HTTP/HTTPS:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Begræns SSH til specifikke IP'er:

sudo ufw allow from 192.168.1.100 to any port 22

📊 Overvåg UFW-logfiler

sudo tail -f /var/log/ufw.log

📦 3. AppArmor & Sandboxing

AppArmor giver dig mulighed for at tildele specifikke profiler til programmer, der begrænser, hvilke ressourcer de har adgang til. Dette er afgørende, hvis et program bliver kompromitteret.

1. Tjek AppArmor-status

sudo aa-status

2. Aktivér AppArmor for alle programmer

sudo aa-enforce /etc/apparmor.d/*

4. Sandboxing med Firejail

Firejail er et værktøj, der kører programmer i isolerede miljøer (sandboxes):

sudo apt install firejail -y
firejail firefox

Opret en genvej, så Firefox altid kører i sandbox:

sudo ln -s /usr/bin/firejail /usr/local/bin/firefox

3. Opret en skræddersyet profil til Firefox

sudo nano /etc/apparmor.d/usr.lib.firefox.firefox

# Indsæt følgende:
#include <tunables/global>
/usr/lib/firefox/firefox {
  #include <abstractions/base>
  #include <abstractions/nameservice>
  #include <abstractions/fonts>
  #include <abstractions/X>
  
  # Tillad adgang til downloads
  owner @{HOME}/Downloads/ rw,
  owner @{HOME}/.cache/mozilla/ rw,
  owner @{HOME}/.mozilla/ rw,
  
  # Forbyde adgang til følsomme områder
  deny @{HOME}/.ssh/ rw,
  deny @{HOME}/.gnupg/ rw,
  deny @{HOME}/Documents/ rw,
}

Genindlæs profilen:

sudo apparmor_parser -r /etc/apparmor.d/usr.lib.firefox.firefox

🌐 4. Browser-sikkerhed & DNS

Browseren er dit vindue til internettet – og den største angrebsflade. En kompromitteret browser kan give angribere adgang til hele systemet.

1. Hærd Firefox (trin-for-trin)

  • a. Installér uBlock Origin
  • b. Aktiver "Strict" Tracking Protection
  • c. Deaktivér WebRTC: Skriv about:config, søg efter media.peerconnection.enabled og sæt til false.
  • d. Aktivér DNS-over-HTTPS (DoH): Vælg Cloudflare (1.1.1.1), Quad9 eller Mullvad i indstillingerne.

2. System-wide DNS-kryptering

sudo apt install systemd-resolved -y
sudo systemctl enable systemd-resolved
sudo systemctl start systemd-resolved
sudo nano /etc/systemd/resolved.conf

Indsæt:

[Resolve]
DNS=1.1.1.1#cloudflare-dns.com 9.9.9.9#dns.quad9.net
DNSOverTLS=yes
DNSSEC=yes
Cache=yes
sudo systemctl restart systemd-resolved

🔒 Undgå DNS-lækager: Brug DNS Leak Test til at verificere.

🗑️ 5. Sikker sletning (Shredding)

En almindelig sletning (papirkurv) fjerner kun referencen til filen – dataene forbliver på disken, indtil de overskrives.

1. Grundlæggende shred-kommando

shred -u -v -z filnavn.txt

-u: Sletter filen efter overskrivning
-v: Viser status
-z: Overskriver med nuller til sidst

2. Overskriv flere gange

shred -v -n 10 -z -u hemmelig.pdf

3. Slet en hel mappe sikkert

find /sti/til/mappe -type f -exec shred -u -z {} \;
rm -rf /sti/til/mappe

4. Slet en hel disk (ekstremt)

sudo dd if=/dev/urandom of=/dev/sdX bs=1M status=progress

⚠️ ADVARSEL: Sletter ALT. 💡 SSD-bemærkning: LUKS-kryptering er primært værn mod datagendannelse på SSD'er.

🔄 6. Opdateringsstrategi

Et opdateret system er et sikkert system. Nyopdagede sårbarheder udnyttes ofte inden for få timer.

1. Automatiske sikkerhedsopdateringer

Åbn Update Manager → Indstillinger → Automatisering:
☑ Automatisk download af opdateringer
☑ Automatisk installation af sikkerhedsopdateringer
☑ Slet gamle kerner og afhængigheder automatisk

2. Kommandolinje-opdateringer & Cron

sudo apt update && sudo apt upgrade -y
sudo apt autoremove -y
sudo apt autoclean

Opret cron-job (sudo crontab -e):

0 3 * * * apt update && apt upgrade -y && apt autoremove -y

3. Live Kernel Patching

sudo apt install canonical-livepatch -y
sudo canonical-livepatch enable [TOKEN]

🔑 7. SSH-sikkerhed

1. Deaktivér root-login i /etc/ssh/sshd_config (PermitRootLogin no).

2. Brug SSH-nøgler:

ssh-keygen -t ed25519 -a 100 -C "din@email.dk"
ssh-copy-id -i ~/.ssh/id_ed25519.pub bruger@server-ip

3. Skift SSH-port til f.eks. 2222 (Port 2222) og opdater UFW.

4. Begræns SSH-brugere (AllowUsers brugernavn).

💾 8. Kryptering af /tmp og SWAP

1. Krypter /tmp med RAM-disk (tmpfs)

Tilføj til /etc/fstab:

tmpfs /tmp tmpfs defaults,noexec,nosuid,nodev,size=4G 0 0

2. Krypter swap-partitionen eller brug zram

sudo apt install zram-config -y

🚫 Overvågning, USB & Passwords

9. Fail2ban og Logovervågning

sudo apt install fail2ban -y
sudo systemctl enable fail2ban

Kopiér konfiguration og rediger jail.local for sshd. Logovervågning med Logwatch kan opsættes via cron til at sende daglige e-mails.

💿 10. USB-sikkerhed

Deaktivér autorun i /etc/udisks2/udisks2.conf:

[block]
disable_automount = true

Brug USB Guardian eller scan med ClamAV ved tilslutning.

🔑 11. Password Manager & 2FA

Installér Bitwarden (sudo snap install bitwarden). Aktivér 2FA på vigtige konti, og opsæt Google Authenticator til SSH via PAM.

📋 12. Audit & Hårdføring

Kør Lynis (sudo lynis audit system), Rkhunter for rootkits, ClamAV for virus. Anvend Kernel hardening med sysctl (IP-spoofing beskyttelse, ASLR osv.).

✅ Du er nu færdig! Dit Linux Mint-system er hærdet.

Næste skridt: Overvej at tilføje en VPN (f.eks. Mullvad eller ProtonVPN) for yderligere anonymitet og implementer regelmæssige backup-rutiner med kryptering.

  • ✔ Fuld diskkryptering (LUKS)
  • ✔ Aktiv firewall (UFW)
  • ✔ AppArmor og sandboxing
  • ✔ Hærdet browser
  • ✔ Sikker sletning
  • ✔ Automatiske opdateringer
  • ✔ SSH-sikkerhed med 2FA
  • ✔ Krypteret /tmp og swap
  • ✔ Fail2ban og logovervågning
  • ✔ USB-beskyttelse
  • ✔ Password manager og 2FA
  • ✔ Regelmæssige audits

📚 Yderligere ressourcer

🔒 OWASP - Open Web Application Security Project

📖 CIS Benchmarks - Center for Internet Security

🛡️ EFF Surveillance Self-Defense

Kontakt os for hjælp til Linux-sikkerhed